Desplegament d'aplicacions. SCCM

Elaboració pròpia: la font és de pagament i no es reprodueix

Enunciat oficial. Desplegament d'aplicacions. SCCM.

1. Què és SCCM

System Center Configuration Manager (SCCM), avui Microsoft Configuration Manager (part de Microsoft Intune / Endpoint Manager), és l'eina de gestió centralitzada de servidors i estacions de treball en un entorn Windows: permet la implementació, l'administració i la supervisió centralitzades de recursos en una xarxa basada en Windows.

Aquesta última formulació és la que apareix literalment a l'examen quan es demana quina eina d'administració de sistemes permet la implementació, administració i supervisió centralitzada de recursos en una xarxa basada en Windows: la resposta és SCCM / Microsoft Endpoint Configuration Manager. I quan es parla de l'eina de gestió centralitzada de servidors i estacions de treball desplegada sobre servidors Windows, també.

Funcions principals:

2. Arquitectura

Requisit: SCCM depèn de l'Active Directory i, per a moltes funcions, de PKI (Public Key Infrastructure) i de WSUS.

3. El procés de desplegament d'aplicacions

1. Empaquetat: preparació de l'aplicació en un format desatès (MSI, MSIX, App-V, executable amb paràmetres silenciosos, script). Cal definir el mètode de detecció que determina si l'aplicació ja hi és.
2. Creació de l'aplicació a SCCM amb els seus tipus de desplegament (un per plataforma o condició), requisits (sistema operatiu, memòria, arquitectura) i dependències.
3. Distribució del contingut als Distribution Points.
4. Creació del desplegament sobre una col·lecció, amb el propòsit Obligatori (Required) —s'instal·la sola— o Disponible (Available) —apareix al Software Center perquè l'usuari la instal·li.
5. Planificació: finestra de manteniment, data límit, comportament de reinici i notificacions a l'usuari.
6. Desplegament per fases (phased deployment): pilot → col·lectiu ampli → tota l'organització, amb criteris d'èxit entre fases.
7. Monitoratge: informes de compliment, èxits, errors i codis de retorn.
8. Remediació dels equips fallits i desinstal·lació quan cal.

Abast del desplegament: les aplicacions es poden assignar tant a col·leccions d'usuaris com de dispositius —construïdes amb llistes directes, grups de seguretat o UO (Unitat Organitzativa)— i els requisits poden filtrar, per exemple, per versió de sistema operatiu o per altres aplicacions necessàries. Els clients reben el desplegament tant si estan connectats físicament a la xarxa corporativa com si hi arriben per VPN (Virtual Private Network) o des d'un escriptori virtual (VDI, Virtual Desktop Infrastructure), sempre que puguin contactar el Management Point.

Bones pràctiques: sempre un pilot abans del desplegament general; finestres de manteniment definides; mètodes de detecció fiables; desinstal·lació provada; i documentació del paquet.

Les dues estratègies que es combinen són l'empenta (push) —l'organització decideix, el desplegament és obligatori i s'instal·la sol dins de la finestra— i l'estirada (pull) o autoservei —el desplegament es publica com a disponible i és la persona usuària qui l'instal·la des del Software Center quan li convé—. La primera serveix per al programari obligatori i els pedaços; la segona, per al catàleg opcional, i redueix les peticions al centre d'atenció.

3.1 Aplicació, paquet i programa

SCCM té dos objectes diferents per distribuir programari, i confondre'ls és l'error habitual:

• Aplicació (application): l'objecte modern. Conté un o més tipus de desplegament, i cada tipus porta el seu contingut, la seva ordre d'instal·lació, els seus requisits, les seves dependències i el seu mètode de detecció. El client avalua els requisits i tria quin tipus li toca. Com que sap detectar si l'aplicació ja hi és, també sap no reinstal·lar-la, desinstal·lar-la i informar del compliment; i com que està centrada en la persona, es pot assignar a usuaris i es publica al Software Center.
• Paquet i programa (package and program): el mecanisme clàssic i encara vigent. El paquet és el contingut i el programa és la línia d'ordres que s'hi executa. No té mètode de detecció: llança l'ordre i es queda amb el codi de retorn, sense saber si l'aplicació hi és. Per això continua sent la millor opció per a eines d'administració que no instal·len res, per a scripts d'una sola vegada i per als que s'han d'executar de manera periòdica.

Sistema de gestió de paquets és el nom genèric del conjunt d'eines que cobreix tot el cicle d'un paquet —crear-lo, actualitzar-lo, configurar-lo i eliminar-lo— i que n'automatitza la distribució. És el mateix concepte que a Linux implementen apt, dnf/yum o zypper, i a Windows el paquet de SCCM o les eines de línia d'ordres Winget i Chocolatey. No s'ha de confondre amb la infraestructura que mou el contingut per la xarxa —els Distribution Points i la seva replicació—, que resol un problema diferent: que el fitxer arribi a prop del client.

3.2 Revisió, substitució i retirada

Una aplicació desplegada al parc no s'esborra i es torna a crear cada vegada que canvia: SCCM li dona un cicle de vida propi.

• Revisió (revision): cada canvi a l'aplicació o a un tipus de desplegament crea una revisió nova. L'històric es conserva, es pot consultar i es pot restaurar una revisió anterior si la nova falla.
• Substitució (supersedence): la relació que declara que una aplicació en reemplaça una altra. En definir-la s'escull si la vella s'actualitza per sobre —mateixa aplicació, versió nova— o si es desinstal·la abans d'instal·lar la nova —producte diferent—. És el mecanisme per canviar de versió tot el parc sense tocar cap equip; les cadenes s'han de mantenir curtes.
• Retirada (retire): l'aplicació deixa d'estar disponible per a desplegaments nous, però ni ella ni els desplegaments existents s'esborren. Només un cop retirada i sense res que la referenciï es pot eliminar de debò.
• Desinstal·lació: un desplegament amb propòsit de desinstal·lar, que el client executa amb l'ordre de desinstal·lació del tipus de desplegament.

3.3 Automatització amb scripts

Moltes actuacions sobre les estacions —empaquetat, configuració prèvia o posterior— es couen amb la línia d'ordres de Windows dins de scripts:

• MOVE <origen> <destí> mou fitxers d'un directori a un altre, i és també la comanda per canviar el nom d'una carpeta —indicant com a destí el mateix directori pare amb el nom nou—, perquè per al sistema de fitxers moure i reanomenar són la mateixa operació. REN/RENAME només val per a fitxers.
• FOR /D %variable in (<scope>) do <acció> recorre els subdirectoris d'una carpeta ja definida i n'executa l'acció sobre cadascun; FOR /R fa el mateix però de manera recursiva per tot l'arbre.

4. Desplegament del sistema operatiu

El desplegament del sistema operatiu, o OSD (Operating System Deployment), és la funció que instal·la el sistema operatiu en un equip des de zero i el deixa llest per treballar: aplica una imatge del sistema, hi injecta els controladors, uneix l'equip al domini, hi instal·la les aplicacions del lloc de treball i, si l'equip en substitueix un altre, hi trasllada el perfil de la persona usuària. No és una instal·lació manual repetida cent vegades, sinó una seqüència de tasques que l'orquestra sola.

• MDT (Microsoft Deployment Toolkit): conjunt d'eines gratuït de Microsoft per automatitzar el desplegament de sistemes operatius Windows, amb seqüències de tasques, gestió d'imatges, controladors, aplicacions i migració de l'estat d'usuari (USMT). Es pot fer servir de manera autònoma (Lite Touch) o integrat amb SCCM (Zero Touch), cas en què aporta plantilles i scripts avançats a les seqüències de tasques.
• Imatges: WIM (Windows Imaging) com a format, DISM (Deployment Image Servicing and Management) per manipular-les i Sysprep per generalitzar-les.
• Seqüència de tasques: la successió ordenada de passos que particiona el disc, aplica la imatge, injecta controladors, uneix el domini, instal·la aplicacions i aplica configuracions.
• El primer pas per configurar noves estacions estàndard és «aplicar» una imatge al dispositiu mitjançant la seqüència de tasques; a partir d'aquí es fa la personalització.
• PXE i suports d'arrencada com a mecanismes d'inici; USMT per conservar els perfils en una migració.
• Windows Autopilot és l'alternativa moderna i basada en el núvol: el dispositiu es lliura de fàbrica, l'usuari l'encén i es configura sol contra Intune, sense imatge. És la tendència.

5. Gestió de pedaços

• WSUS (Windows Server Update Services) com a rerefons, gestionat des de SCCM amb Automatic Deployment Rules.
• Grups de desplegament: pilot → producció, amb finestres de manteniment i terminis de compliment.
• Informes de compliment i remediació dels equips endarrerits.
• Pedaços de tercers (navegadors, Java, Adobe) amb catàlegs de socis o eines complementàries: són la superfície d'atac més explotada.
• Calendari de suport: la disponibilitat dels pedaços depèn de la versió de Windows instal·lada, no és indefinida. Cada versió (feature update) rep actualitzacions —de seguretat i la resta— només durant un període de servei limitat, que varia segons l'edició: més curt per a Home/Pro (canal General Availability) i més llarg per a Enterprise/Education i el canal LTSC (Long-Term Servicing Channel, pensat per a equips especialitzats que no poden canviar de versió sovint). Passat aquest període, deixen d'arribar fins i tot els pedaços de seguretat, llevat que s'adquireixi el programa de pagament ESU (Extended Security Updates).
• Navegadors, el cas dels canals de versió: un mateix producte pot oferir un canal ràpid —versió major cada poques setmanes— i un canal de suport ampliat (ESR, Extended Support Release) —versions majors molt més espaiades i període de suport més llarg—, aquest darrer pensat per a desplegaments corporatius gestionats i amb la configuració de seguretat i privacitat per defecte més restrictiva. És el cas del Firefox desplegat a l'Ajuntament: les funcionalitats són molt semblants entre l'ESR i la versió normal, i el que les diferencia és el ritme d'actualització i el temps que cada versió està en suport —no el preu, que en totes dues és gratuït, ni la disponibilitat de la descàrrega. Es distribueix amb instal·ladors MSI i es gestiona amb plantilles ADMX (Administrative, XML), format XML (eXtensible Markup Language), o el fitxer policies.json, igual que la resta de programari empaquetat.
• L'ENS exigeix gestió de vulnerabilitats i actualitzacions (op.exp) i el manteniment de la configuració de seguretat.

6. Alternatives i evolució

L'alternativa que no necessita cap eina: una GPO (Group Policy Object) pot definir una directiva que forci la instal·lació d'un paquet .msi a les estacions afectades. És el mecanisme de distribució de programari natiu d'Active Directory —ve amb el domini, no s'hi afegeix res—, i per això és la comparació obligada amb SCCM: menys versatilitat i menys control (ni col·leccions, ni finestres de manteniment, ni mètode de detecció, ni informes d'èxit del §3).

Tendència: del model imatge + domini + SCCM a la xarxa corporativa al model núvol + Autopilot + Intune + identitat, on el dispositiu no necessita mai estar a la xarxa interna. El co-management és el pont entre tots dos.

7. Inventari de maquinari i de programari

L'inventari és la funció que fa que SCCM sàpiga què hi ha realment al parc: quins equips, amb quin maquinari, amb quin programari instal·lat i amb quina versió. No és un annex de la distribució de programari, és el seu fonament — sense inventari no es poden construir col·leccions dinàmiques, ni filtrar requisits, ni mesurar el compliment d'un desplegament.

Descobriment i inventari no són el mateix, i el tribunal ho pot separar:

• El descobriment (discovery) troba recursos i els dona d'alta a la base de dades del lloc, encara que no tinguin client instal·lat: equips, persones usuàries, grups i unitats organitzatives de l'Active Directory, o adreces de la xarxa. Cada troballa genera un registre de dades de descobriment (DDR, Discovery Data Record). El descobriment per batec (heartbeat discovery) és el cas especial: l'executa el client mateix, de manera periòdica, i és l'únic que informa de l'estat d'instal·lació del client.
• L'inventari el fa el client ja instal·lat sobre un equip ja descobert, i explica com és aquest equip.

Inventari de maquinari. El client llegeix WMI (Windows Management Instrumentation, la implementació de Microsoft de l'estàndard WBEM, Web-Based Enterprise Management) i el registre de Windows. Les classes que es recullen es trien a la configuració del client (client settings) i s'amplien amb el fitxer Configuration.mof, que a més registra els proveïdors que llegeixen la informació. Malgrat el nom, recull molt més que maquinari: qualsevol dada present a WMI o al registre —programari instal·lat, versió del sistema, estat del xifratge de disc—, i és la font de les col·leccions dinàmiques i dels requisits dels tipus de desplegament.

Inventari de programari. Recorre el sistema de fitxers buscant fitxers d'un tipus determinat i, si es demana, en recull una còpia al servidor de lloc (file collection). Ve activat per defecte, però sense recollir cap fitxer: recollir-los és una decisió deliberada, perquè pot arrossegar dades personals i inflar la base de dades.

Mesura d'ús (software metering). Registra si un programa instal·lat s'executa de veritat i quantes vegades. És el que distingeix «instal·lat» de «utilitzat» i, per tant, la base per recuperar llicències que ningú fa servir.

Asset Intelligence afegeix un catàleg que normalitza els títols de programari —el mateix producte no s'ha de comptar tres vegades perquè s'anomeni de tres maneres— i hi penja la gestió de llicències.

L'inventari té dues cares que sovint es pregunten juntes: és l'instrument del compliment del llicenciament i de l'inventari d'actius que exigeix l'ENS, i alhora és una recollida massiva de dades sobre els equips de persones identificables, de manera que se li aplica el principi de minimització — es recull el que fa falta per gestionar, no tot el que WMI podria donar.

8. Al sector públic

• Estandardització del lloc de treball: catàleg d'aplicacions aprovades, imatges corporatives i cicles de renovació planificats.
• Llicenciament: el desplegament ha d'estar alineat amb les llicències disponibles; el software metering de SCCM serveix per detectar infrautilització i evitar l'incompliment. Norma de referència: ISO/IEC 19770 (IEC: International Electrotechnical Commission) → tema 19.
• ENS: inventari d'actius, configuració de seguretat, gestió de la configuració, gestió de vulnerabilitats i traçabilitat dels canvis. SCCM/Intune és l'instrument de compliment a escala.
• Contractació i sobirania: la Mesura de digitalització oberta obliga a valorar alternatives lliures i a garantir la reversibilitat; en el lloc de treball, la migració a alternatives lliures és una decisió estratègica que exigeix planificació de la compatibilitat d'aplicacions.
• Accessibilitat: el programari desplegat al lloc de treball ha de ser compatible amb els productes de suport dels empleats amb discapacitat.
• Gestió del canvi: qualsevol desplegament massiu és un canvi que ha de passar pel procés corresponent, amb pla de retorn → tema 19.

Claus d'examen

• MOVE també canvia el nom d'una carpeta; REN/RENAME només val per a fitxers (TS-TIC 2021 pràctica, p. 8).
• FOR /D recorre subdirectoris, no fitxers; no ho confonguis amb FOR /R (recursiu per tot l'arbre) ni amb FOR /L (rang numèric) (TS-TIC 2021 pràctica, p. 9).
• La disponibilitat dels pedaços de Windows 10 no és indefinida ni igual per a tothom: depèn de la versió i de l'edició, i fins i tot els de seguretat tenen un límit (TS-TIC 2021 pràctica, p. 2).
• ESR no és una qüestió de preu: és un canal amb menys freqüència d'actualització de versió, més temps de suport i configuració per defecte més restrictiva (TS-TIC 2021 pràctica, p. 28).
• El «sistema de gestió de paquets» és el conjunt d'eines que crea, actualitza, configura i elimina paquets i n'automatitza la distribució — no els programes que distribueix, ni la rèplica dels paquets pels servidors per redundància, que són les distractores (TS-TIC 2018 específic, p. 21).
• A SCCM, les aplicacions s'assignen tant a usuaris com a dispositius i arriben a estacions locals, per VPN o en escriptoris virtuals: descarta les opcions que ho restringeixen a un sol cas (TS-TIC 2021 específic, p. 22).

Per recordar

• SCCM / Microsoft Configuration Manager = implementació, administració i supervisió centralitzada de recursos en una xarxa basada en Windows: inventari, distribució de programari, pedaços, desplegament de sistemes operatius i configuració desitjada.
• Components: Site Server + SQL Server, Management Point, Distribution Point (contingut), Software Update Point (WSUS), client, col·leccions i límits.
• Desplegament Obligatori (s'instal·la sol) vs Disponible (a través del Software Center). Sempre pilot primer.
• MDT és el conjunt d'eines gratuït per automatitzar el desplegament de sistemes operatius Windows, autònom o integrat amb SCCM.
• El primer pas per preparar una estació estàndard és aplicar la imatge mitjançant la seqüència de tasques.
• Autopilot + Intune és l'alternativa moderna: sense imatge i sense xarxa corporativa.
• Els pedaços de tercers són la superfície d'atac més explotada.
• Aplicació (tipus de desplegament, requisits, dependències i mètode de detecció) vs paquet i programa (una ordre i el seu codi de retorn, sense detecció). Substitució per canviar de versió; retirada no esborra res.
• Descobriment ≠ inventari: el descobriment dona d'alta el recurs (i el de batec el fa el client, i és l'únic que diu si el client està instal·lat); l'inventari de maquinari llegeix WMI i el registre, i el de programari explora fitxers. El software metering ajuda al compliment del llicenciament (ISO/IEC 19770).
• El temps de suport dels pedaços depèn de la versió i l'edició de Windows: no és etern ni és igual per a Home/Pro que per a Enterprise/Education o LTSC.
• ESR (Extended Support Release) = actualitzacions de versió més espaiades, suport més llarg i configuració per defecte més restrictiva; no té a veure amb el preu.
• MOVE reanomena carpetes; FOR /D recorre subdirectoris.